Ein Fundraising-Tool mit der Funktion 'Predictive Giving' sagt voraus, welcher Spender wann für welches Projekt empfänglich ist, und stuft sich damit selbst als Profiling-System im Sinne der KI-Verordnung ein. Genau ein solches Werkzeug lag vor einiger Zeit auf dem Tisch eines gemeinnützigen Frankfurter Spendenvereins, vom Vorstand als reine Digitalisierungsmaßnahme durchgewunken.
Was dort als Effizienzgewinn verkauft wurde, ist rechtlich eine andere Kategorie. Gemeinnützige Organisationen halten sich gerne für ausgenommen, weil kein Gewinn erwirtschaftet wird — der KI Act unterscheidet nicht nach Steuerstatus. Entscheidend ist allein die Rolle als Betreiber eines Systems, und die trifft einen Wohlfahrtsverband ebenso wie ein Maschinenbau-Unternehmen. Artikel 4 verpflichtet Betreiber zu einem Mindestmaß an KI-Kompetenz im Team; was das im Detail umfasst, habe ich an anderer Stelle ausführlich auseinandergenommen. Hier interessiert mich eine andere Frage: Warum brauchen zwei gemeinnützige Organisationen mit derselben gesetzlichen Pflicht ein völlig unterschiedliches Schulungskonzept?
Unterschiede zwischen Organisationen beim Schulungsbedarf
Die Antwort liegt selten in der Rechtsform, sondern in der Berührung mit Risiko. Ein kleiner Verein mit wenigen hauptamtlichen Kräften nutzt vielleicht einen Chatbot für Erstanfragen und ein Tool zur Spendenprognose — Systeme mit begrenztem Schadenspotenzial, auch wenn die Kompetenzpflicht trotzdem greift. Ein großer Wohlfahrtsverband dagegen setzt KI bei der Vorauswahl von Personal oder Freiwilligen ein, und das kann je nach Ausgestaltung in eine Hochrisiko-Kategorie nach Anhang III rutschen. Der Unterschied entscheidet nicht nur über den Zeitaufwand der Schulung, sondern über deren gesamte Architektur — vom Umfang der Dokumentation bis zur Frage, wer im Haus überhaupt geschult werden muss.
Zwei Fälle aus meiner Beratungspraxis zeigen das ziemlich deutlich, auch wenn ich Details verändert habe, um Rückschlüsse auf die Organisationen auszuschließen.
Der kleine Verein zwischen Chatbot und Spendenprognose
Der erste Fall: ein regionaler Verein mit einer Handvoll Angestellter und einem ehrenamtlich geführten Vorstand, ausgestattet mit genau den zwei Systemen aus der Einleitung. Der Vorstand wollte das Thema schnell abhaken und lud alle Mitarbeitenden zu einer einmaligen Informationsveranstaltung ein — ein Nachmittag, ein externer Referent, eine Präsentation mit den wichtigsten Begriffen. Follow-up-Termine oder eine Erfolgskontrolle gab es nicht, und wenig später konnte kaum noch jemand im Team erklären, welches der beiden Systeme überhaupt unter die Kompetenzpflicht fällt. Die Kampagne war gut gemeint, aber ohne Wiederholung verpufft sie — Wissen zur KI-Kompetenz hält sich nicht von selbst, wenn niemand es im Alltag wieder aufgreift.
Für einen Verein dieser Größe würde eine kürzere, dafür wiederkehrende Struktur mehr bringen als der große Auftakt-Workshop: ein kurzer Termin bei jeder neuen Tool-Einführung, gekoppelt an eine einfache Checkliste, die die Person prüft, die das System tatsächlich bedient. Kein Zertifikat, keine Feierlichkeit, nur die Gewissheit, dass die Frage 'Betreiber oder nicht?' bei jeder neuen Software gestellt wird, bevor sie im Alltag landet.
Ein Wohlfahrtsverband entdeckt den Preis der Sorgfalt
Der zweite Fall liegt anders. Ein größerer Wohlfahrtsverband wollte die Vorauswahl für ehrenamtliche Helfer über ein KI-gestütztes Screening-Tool beschleunigen. Weil es sich dabei technisch um den Einsatz von KI im Personalbereich handelt, auch wenn es 'nur' um Freiwillige geht, landet das unter Anhang III Nummer 4 in der Hochrisiko-Kategorie. Ob ein Freiwilligen-Screening tatsächlich als Beschäftigung im Sinne dieser Kategorie zählt, ist übrigens ein Punkt, an dem ich selbst manchmal ins Zögern gerate. Die Verordnung ist hier nicht restlos eindeutig, und ich sage das lieber offen, als eine Sicherheit vorzutäuschen, die ich nicht habe. Als ich dem Vorstand die wahrscheinlichen Konsequenzen vorstellte, war die Überraschung groß: Anforderungen an Datenqualität und technische Dokumentation, die das Budget für die Software-Einführung deutlich überstiegen.
Mein Rat war nicht, sofort eine komplette Governance-Struktur aufzubauen. Bevor ein Verband Prozesse aufbläht, die er später ohnehin nicht kontrolliert, lohnt sich der Blick auf die Beschaffung: Von Software-Anbietern lässt sich die Dokumentation einfordern, die man als Betreiber zur Erfüllung der eigenen Pflichten braucht. Johanna Ertl, mit der ich gelegentlich gemeinsame Webinare gebe, sagt es noch pointierter: die meisten Compliance-Lücken entstehen ihrer Erfahrung nach nicht in der Schulung, sondern in schlecht formulierten Verträgen, die diese Pflichten gar nicht erst festhalten. Wer diesen Punkt vor dem Kauf klärt, braucht später weniger Nachschulung.
Wie wenig Führungspersonal manchmal vorbereitet ist, hat mir vor Kurzem ein Geschäftsführer aus Stuttgart erzählt — kein NGO-Fall, aber trotzdem lehrreich: Er hatte in einer Vorstandssitzung spontan ein Hochrisiko-System zur Risikobewertung vorgeführt, ohne dass eine einzige Person im Raum jemals eine Einweisung dazu bekommen hatte. Genau dieses Szenario, dass Entscheider ein System nutzen, das sie nicht einordnen können, ist der Kern dessen, was Artikel 4 eigentlich verhindern soll.
Was beide Fälle beim Softwareeinkauf gemeinsam übersehen
Auf dem Whiteboard hinter meinem Schreibtisch skizziere ich für solche Gespräche oft ein einfaches Raster mit den Risikostufen der Verordnung, nicht weil es kompliziert wäre, sondern weil ein Bild schneller klärt, in welcher Zeile ein bestimmtes Tool landet, als eine halbe Stunde Diskussion über Gesetzestext. Beide Organisationen oben hätten sich diese halbe Stunde sparen können, wenn die Frage schon beim Einkauf gestellt worden wäre, nicht erst nach der Einführung.
Kursanbieter helfen dabei selten so viel, wie sie versprechen. Ich saß kürzlich in der Demo eines Kurses namens 'AI Ready für Vereine'. Bis zum Schluss fiel kein einziges Praxisbeispiel aus der Freiwilligenarbeit oder dem Spendenwesen, nur allgemeine Folien zur Verordnung, die genauso gut an ein Industrieunternehmen gerichtet sein könnten. Für den Dritten Sektor bringt das wenig. Ob ein Online-Format oder ein Workshop vor Ort besser passt, ist ohnehin von Fall zu Fall verschieden. Dazu gibt es auf diesem Blog einen eigenen Vergleich. Was in jedem Format stimmen muss, ist der Bezug zu den tatsächlich genutzten Systemen der Organisation, nicht zu abstrakten Beispielen aus fremden Branchen.
Was die Schulung je Mitarbeiter kosten darf, hängt stark vom gewählten Format und der Vereinsgröße ab. Der Artikel KI Schulung für Unternehmen kosten darf und sollte gibt dazu eine Orientierung, auch wenn Non-Profit-Organisationen meist mit anderen Tagessätzen kalkulieren als der klassische Mittelstand. Bußgelder nach Artikel 99 der Verordnung sind ein eigenes, größeres Thema. Für den gemeinnützigen Bereich reicht an dieser Stelle die Feststellung, dass schon ein Bruchteil des Höchstrahmens für einen kleinen Verein existenzbedrohend wäre.
Aufklärung und Governance: Die richtige Wahl treffen
Aus den beiden Fällen lässt sich eine einfache Faustregel ableiten. Berührt Ihre Organisation KI nur in unterstützenden Funktionen — Chatbot, Textentwurf, Prognosetool ohne Entscheidungsbefugnis über Menschen —, reicht eine schlanke, aber wiederkehrende Aufklärung der Personen, die das System bedienen. Trifft das System dagegen Entscheidungen über Menschen, etwa bei der Auswahl von Personal, Freiwilligen oder Leistungsempfängern, brauchen Sie echte Governance: dokumentierte Rollen, eine klare Zuständigkeit für Risikoprüfungen und eine Schulung, die über reine Begriffskunde hinausgeht.
Ob die eigene Organisation dafür intern genug Kompetenz aufbauen kann oder externe Unterstützung braucht, ist eine Abwägung, die von der Personaldecke abhängt — KI Compliance Wissen intern aufbauen oder externe Beratung geht darauf näher ein. Für NGOs mit knappen Zeitkontingenten bringt ein externer Anstoß oft genau den Fokus, der im Tagesgeschäft sonst fehlt. Wichtiger als die Frage intern oder extern ist aber, überhaupt anzufangen: Erfassen Sie Ihre Tools, schulen Sie die Personen, die sie bedienen, und stellen Sie bei jeder neuen Anschaffung dieselbe Frage, die am Anfang dieses Textes stand — wer ist hier eigentlich Betreiber, und was folgt daraus.